Der Auftrag, passende Flüge zu suchen, ist nicht automatisch die Erlaubnis, ein Ticket zu kaufen: Mit diesem Beispiel fasst heise die Vorschläge zusammen.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Was das W3C vorgelegt hat

Das World Wide Web Consortium, kurz W3C, ist ein Gremium, das Webstandards erarbeitet. Philippe Le Hegaret, beim W3C für die technische Strategie zuständig, hat für das Strategieteam das Papier „W3C and the State of the Web in the AI Era“ verfasst. Fertiggestellt wurde es laut Papier am 20. Oktober 2026, veröffentlicht laut heise am 21. Oktober. Es soll die Diskussion bei der TPAC vorbereiten, dem wichtigsten jährlichen Treffen der W3C-Gemeinschaft. Vorgestellt werden soll es am 29. Oktober in einer Sitzung der Web and AI Interest Group. Rückmeldungen nimmt das W3C über die Mailingliste public-webai@w3.org und das GitHub-Verzeichnis webai-roadmap entgegen.

Wichtig für die Einordnung ist der Status. Es handelt sich um Empfehlungen des Strategieteams, nicht um verabschiedete Standards und nicht um eine Position aller W3C-Mitglieder. Für Betriebe ergibt sich daraus heute keine Pflicht.

Fremder Text als Einfallstor

Das Papier beschreibt ein Sicherheitsproblem von KI-Agenten. Ein Agent, der auf private Daten zugreift und zugleich nicht vertrauenswürdige Inhalte liest, öffnet laut Papier einen Weg zum Abfluss von Daten, ähnlich wie beim Cross-Site-Scripting. Ausführbarer Code muss dafür nicht eingeschleust werden. Es genügt gewöhnlicher Text auf einer Webseite, in einem Dokument oder in der Antwort eines Werkzeugs. Prompt Injection untergrabe damit den Schutz, auf dem das Web bisher beruht, nämlich dass Seiten unterschiedlicher Herkunft voneinander getrennt bleiben. heise schildert den Fall eines Agenten, der eine öffentliche Website besucht und zugleich Zugriff auf interne Dokumente hat. Fordert die Website ihn auf, vertrauliche Inhalte an einen externen Dienst zu schicken, hilft die bestehende Trennung nicht unbedingt, weil der Agent mit seinen eigenen Rechten handelt. Das Strategieteam schlägt deshalb eigene Bedrohungsmodelle für Agenten vor.

Wie solche Angriffe im Alltag aussehen, beschreibt unser Artikel zu Prompt Injection bei KI-Agenten.

Zustimmung, Limits, Belege

Agenten sollen vor folgenschweren Aktionen die Zustimmung der Nutzer einholen, so gibt heise die Vorschläge wieder. Für Zahlungen nennt das Papier konkrete Anforderungen: Ausgabenlimits, widerrufbare Befugnisse, eindeutige Belege und nachvollziehbare Wege für Reklamationen. Eine Bestätigung müsste laut heise die konkrete Buchung erkennbar machen.

Aufgebaut ist das Papier in Paaren. Für einzelne Web-Technologien stellt es gegenüber, was ein Agent braucht, um zuverlässig zu handeln, und was der Mensch braucht, um sicher zu bleiben und die Kontrolle zu behalten. Bei Formularen heißt das etwa: Prüfung vor dem Absenden, kein stilles automatisches Ausfüllen sensibler Daten. Beim Zugang zu Konten verlangt die Nutzerseite einen Nachweis, dass ein Mensch zugestimmt hat, und Berechtigungen, die sich je Agent einzeln widerrufen lassen. Offen ist dabei laut Papier noch, wie ein Agent eine übertragene Befugnis vorweisen kann, ohne selbst die Zugangsdaten zu besitzen. Widersprechen sich beide Seiten, gehen laut Papier die Bedürfnisse der Person vor.

Zugleich warnt das Papier vor Bestätigungsmüdigkeit. Wer jede Kleinigkeit freigeben muss, könnte nach der Darstellung von heise irgendwann auch sicherheitsrelevante Rückfragen ungeprüft bestätigen.

Beim Datenschutz schlägt das Papier unter anderem einen Modus ohne Agentengedächtnis vor, eine Art Inkognitomodus, und eine Prüfung, welche Daten Agenten zwischen Seiten und Sitzungen mitnehmen. heise betont, dass damit ein Arbeitsauftrag an die Standardisierung gemeint ist, keine angekündigte Browserfunktion.

Noch ohne Zeitplan

Eine neue Agentic Web Working Group ist vorgeschlagen, gegründet ist sie nicht. Laut PPC Land nennen die Dokumente keinen Termin für die Gründung der vorgeschlagenen Gruppen, und es wird kein KI-Unternehmen genannt, das sich den Grundsätzen verpflichtet hätte. Ob und wann aus den Vorschlägen Standards werden, ist offen.

Unsere Einschätzung

Wer einen KI-Agenten recherchieren, bestellen oder Formulare ausfüllen lässt, vergibt eine Vollmacht, auch wenn es sich wie ein Chat anfühlt. Das Papier zieht eine Trennung, die im Betrieb ohnehin gilt: Suchen ist keine Kaufentscheidung. Aus unserer Sicht sind zwei Regeln sinnvoll, bevor ein Agent im Betrieb etwas bestellt oder abschickt. Jeder Agent bekommt ein Ausgabenlimit, und vor jeder Bestellung gibt eine Person frei, die weiß, was bestellt wird. Ob einzelne Werkzeuge das heute technisch können, haben wir nicht geprüft.

Ein zweiter Punkt aus dem Papier lässt sich ohne neue Technik umsetzen. Ein Agent sollte nicht mit dem Passwort des Chefs arbeiten, sondern mit einem eigenen Zugang, den man jederzeit sperren kann. Wer das heute schon so einrichtet, muss bei einem Fehler nicht das ganze Firmenkonto neu absichern.

Die Warnung vor Bestätigungsmüdigkeit gehört für uns dazu. Wer jede Kleinigkeit abnickt, nickt irgendwann auch das Falsche ab, deshalb würden wir Freigaben auf Vorgänge mit Geld, Verträgen oder Kundendaten beschränken.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 25. Oktober 2026):

Häufige Fragen

Was hat das W3C zu KI-Agenten veröffentlicht?

Das Strategieteam des W3C hat das Diskussionspapier „W3C and the State of the Web in the AI Era“ vorgelegt, fertiggestellt am 20. Oktober und laut heise am 21. Oktober 2026 veröffentlicht. Es beschreibt Risiken durch KI-Agenten im Web und schlägt Arbeitsaufträge für künftige Standards vor.

Was schlägt das Papier für Zahlungen durch Agenten vor?

Für Zahlungen nennt das Papier Ausgabenlimits, widerrufbare Befugnisse, eindeutige Belege und nachvollziehbare Wege für Reklamationen. Vor folgenschweren Aktionen sollen Agenten laut heise die Zustimmung der Nutzer einholen. Zugleich warnt das Papier vor Bestätigungsmüdigkeit.

Ist das schon ein verbindlicher Standard?

Nein. Das Papier enthält Empfehlungen des Strategieteams, keine verabschiedeten Standards. Vorgestellt werden soll es am 29. Oktober 2026. Die vorgeschlagene Agentic Web Working Group ist noch nicht gegründet, einen Termin dafür nennen die Dokumente laut PPC Land nicht.

Muss ein Betrieb jetzt etwas tun?

Eine Pflicht ergibt sich aus dem Papier nicht. Aus unserer Sicht lohnt es sich trotzdem, für KI-Agenten im Betrieb ein Ausgabenlimit festzulegen und Bestellungen nur nach Freigabe durch eine Person zuzulassen, die weiß, was bestellt wird.

Wie viel darf ein KI-Agent im Betrieb ausgeben, bevor ein Mensch zustimmt?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 25. Oktober 2026. Stand der Recherche: 25. Oktober 2026.